Уязвимость в O-RAN-SC SMO OAM VES Collector: CVE-2026-93308
В компоненте VES Collector платформы O-RAN-SC SMO OAM (версия 2025-06-10) обнаружена уязвимость, связанная с неконтролируемым выделением ресурсов. Атака может быть выполнена удалённо, а публичный эксплойт уже доступен. Уровень опасности по CVSS — 5.3 (средний).
Подробности
Уязвимость затрагивает O-RAN-SC SMO OAM версии 2025-06-10. Уязвимой признана функциональность компонента VES Collector — сервиса, который принимает и обрабатывает события от сетевых элементов в архитектуре O-RAN. Точная функция, в которой проявляется проблема, не раскрыта. Согласно описанию, манипуляция входными данными приводит к избыточному выделению ресурсов. Это классический сценарий, при котором злоумышленник может вызвать исчерпание памяти, дескрипторов или иных ресурсов, что в итоге ведёт к отказу в обслуживании (DoS) или деградации работы сервиса. Атака может быть инициирована удалённо, что повышает практическую значимость проблемы: VES Collector обычно доступен по сети и принимает данные из внешних источников. Оценка по шкале CVSS составляет 5.3 — средний уровень. Публичный эксплойт уже существует, то есть уязвимость можно воспроизвести без значительных усилий. Отдельно стоит отметить реакцию мейнтейнеров проекта: согласно записи CVE, о проблеме сообщили заранее через баг-репорт, однако проект до сих пор не ответил и не выпустил исправление. Это означает, что на момент публикации официального патча может не существовать.Что делать
Поскольку официальное исправление отсутствует, рекомендуются компенсирующие меры: — Ограничьте сетевой доступ к VES Collector: оставьте только доверенные источники и сегменты сети, используя firewall-правила и списки разрешённых адресов. — Настройте лимиты ресурсов на уровне контейнера или процесса (cgroups, memory limits, rate limiting на входящие запросы), чтобы избыточное выделение ресурсов не приводило к отказу всего узла. — Включите мониторинг потребления памяти и CPU для VES Collector: аномальные всплески могут сигнализировать о попытке эксплуатации. — Рассмотрите временное отключение компонента, если он не критичен для текущих задач, до выхода патча. — Следите за обновлениями в репозитории O-RAN-SC и в записи CVE-2026-93308 — как только появится фикс, установите его в приоритетном порядке. Итог: CVE-2026-93308 — умеренно опасная, но реально эксплуатируемая уязвимость в O-RAN-SC SMO OAM. Публичный эксплойт и молчание мейнтейнеров делают своевременные митигации особенно важными. До выпуска патча основной акцент стоит сделать на сетевой изоляции и ограничении ресурсов VES Collector.Источник: CVE Project (cvelistV5)